k8s安全策略在centos上如何实施

Kubernetes安全策略在CentOS上的实施指南

一、系统基础安全加固

节点系统配置
- 关闭不必要的服务（如FTP、邮件服务器），使用systemctl disable <service-name>禁用；配置firewalld或iptables限制仅开放Kubernetes必要端口（如API Server的6443、kubelet的10250/10255）。
- 禁用SELinux（临时命令：setenforce 0；永久生效：修改/etc/selinux/config中SELINUX=disabled）；关闭Swap分区（swapoff -a并注释/etc/fstab中的Swap条目）。
- 同步系统时间：安装chrony并配置NTP服务器（如server ntp.aliyun.com iburst），运行chronyc sources验证同步状态。
用户与权限管理
- 强制使用强密码：修改/etc/login.defs设置密码复杂度（如PASS_MIN_LEN 12、PASS_REQUIRE_MIXED_CASE yes）；锁定默认多余账户（如usermod -L adm、usermod -L lp）。
- 限制su命令：编辑/etc/pam.d/su，添加auth required pam_wheel.so use_uid，仅允许wheel组用户切换root。

二、Kubernetes集群安全配置

1. 认证与授权

API Server安全
启用TLS双向认证：生成CA证书、Server证书和Client证书（使用openssl），将证书放入/etc/kubernetes/pki，修改/etc/kubernetes/manifests/kube-apiserver.yaml添加参数：

spec:
  containers:
  - command:
    - kube-apiserver
    - --tls-cert-file=/etc/kubernetes/pki/apiserver.crt
    - --tls-private-key-file=/etc/kubernetes/pki/apiserver.key
    - --client-ca-file=/etc/kubernetes/pki/ca.crt

重启kubelet使配置生效。

RBAC权限控制
遵循最小权限原则，创建命名空间、服务账户、角色及绑定：

# 创建命名空间
kubectl create namespace dev-ns

# 创建服务账户
kubectl create serviceaccount dev-sa -n dev-ns

# 创建角色（限制仅能读取Pod）
kubectl create role pod-reader --verb=get,list,watch --resource=pods -n dev-ns

# 绑定角色到服务账户
kubectl create rolebinding dev-rb --role=pod-reader --serviceaccount=dev-ns:dev-sa -n dev-ns

避免使用cluster-admin角色给开发人员。

2. 网络隔离

NetworkPolicy配置
使用Calico、Cilium等支持NetworkPolicy的网络插件，限制Pod间通信：

apiVersion: networking.k8s.io/v1
kind: NetworkPolicy
metadata:
  name: frontend-database-policy
  namespace: dev-ns
spec:
  podSelector:
    matchLabels:
      app: database
  policyTypes:
  - Ingress
  ingress:
  - from:
    - podSelector:
        matchLabels:
          app: frontend
    ports:
    - protocol: TCP
      port: 3306

该策略仅允许带有app=frontend标签的Pod访问app=database的Pod的3306端口。

3. 容器运行时安全

安全上下文（Security Context）
在Pod或Container级别配置，限制容器权限：

apiVersion: v1
kind: Pod
metadata:
  name: secure-pod
  namespace: dev-ns
spec:
  containers:
  - name: nginx
    image: nginx:1.25
    securityContext:
      runAsNonRoot: true  # 禁止以root用户运行
      runAsUser: 1000     # 指定用户ID
      readOnlyRootFilesystem: true  # 只读根文件系统
      allowPrivilegeEscalation: false  # 禁止提权

避免容器以root权限运行。

Pod安全标准（PSS）
替代已废弃的Pod Security Policy（PSP），启用内置的Baseline或Restricted策略（需集群支持）：

# 启用Restricted策略（需安装Kyverno或OPA/Gatekeeper）
kubectl apply -f https://raw.githubusercontent.com/kyverno/kyverno/main/config/release/install.yaml
kubectl create -f - <<EOF
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: enforce-restricted-psp
spec:
  validationFailureAction: enforce
  background: true
  rules:
  - name: check-run-as-non-root
    match:
      resources:
        kinds:
        - Pod
    validate:
      message: "Containers must not run as root"
      pattern:
        spec:
          containers:
          - securityContext:
              runAsNonRoot: true
EOF

该策略强制所有Pod以非root用户运行。

4. 镜像安全

镜像来源与扫描
使用私有镜像仓库（如Harbor），配置CI/CD流水线集成Trivy或Clair扫描镜像漏洞：
```
# 使用Trivy扫描镜像
trivy image --exit-code 1 --severity CRITICAL nginx:1.25
```
若扫描到高危漏洞（如CVE-2023-1234），自动终止流水线并通知开发人员修复。
镜像签名与验证
使用Cosign对镜像签名，部署时验证签名有效性：
```
# 签名镜像
cosign sign --key cosign.key nginx:1.25

# 验证签名
cosign verify --key cosign.pub nginx:1.25
```
在Kubernetes中配置imagePullSecrets和PodSecurityPolicy（或PSS）强制验证签名。

5. 数据安全

etcd加密
启用etcd静态加密保护Secret数据，修改/etc/kubernetes/manifests/etcd.yaml添加加密配置：
```
spec:
  containers:
  - command:
    - etcd
    - --encryption-provider-config=/etc/kubernetes/pki/encryption-config.yaml
```
创建encryption-config.yaml文件，指定加密算法（如AES-256-GCM）和密钥。

Secret管理
避免硬编码Secret，使用Vault或CSI驱动动态注入：

# 安装HashiCorp Vault并配置Kubernetes auth
vault auth enable kubernetes
vault write auth/kubernetes/role/dev-role \
  bound_service_account_names=dev-sa \
  bound_service_account_namespaces=dev-ns \
  policies=dev-secret-policy \
  ttl=1h

# 使用Vault CSI驱动挂载Secret到Pod
kubectl apply -f https://raw.githubusercontent.com/hashicorp/vault-helm/main/charts/vault/templates/csi-driver.yaml

在Pod中声明Volume挂载Secret。

三、持续监控与审计

日志收集与分析
部署EFK（Elasticsearch+Fluentd+Kibana）或Loki+Promtail+Grafana堆栈，收集节点、kubelet、API Server日志，设置告警规则（如频繁的登录失败）。
审计日志
启用Kubernetes Audit Logging，记录所有API请求（如创建Pod、修改Deployment），修改/etc/kubernetes/audit-policy.yaml：

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
- level: Metadata
  resources:
  - group: ""
    resources: ["pods", "services", "deployments"]

将审计日志保存到/var/log/kubernetes/audit.log，定期分析异常行为。

实时入侵检测
部署Falco监控容器和节点行为，检测异常操作（如容器逃逸、宿主机文件访问）：

# 安装Falco
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco --namespace falco --create-namespace

# 查看Falco告警
kubectl logs -f -n falco deploy/falco

Falco规则示例（检测容器内访问/etc/shadow）：

- rule: Read sensitive file inside container
  desc: Detect container accessing sensitive files like /etc/shadow
  condition: >
    container and evt.type in (open, openat) and
    evt.dir=< and
    fd.name in ("/etc/shadow", "/etc/passwd")
  output: "Sensitive file accessed by container (user=%user.name command=%proc.cmdline file=%fd.name)"
  priority: WARNING

。

四、持续维护与更新

组件版本管理
定期升级Kubernetes集群至最新稳定版本（使用kubeadm upgrade），升级前备份etcd数据（etcdctl snapshot save /tmp/etcd-snapshot.db）。
补丁管理
使用yum update定期更新CentOS系统包（如kernel、openssl），使用kubeadm upgrade node更新Kubernetes组件（如kubelet、kube-proxy）。
漏洞扫描
使用kube-bench检查集群配置是否符合CIS Kubernetes Benchmark标准：

# 安装kube-bench
curl -L https://github.com/aquasecurity/kube-bench/releases/download/v0.6.13/kube-bench_0.6.13_linux_amd64.deb -o kube-bench.deb
sudo dpkg -i kube-bench.deb

# 运行扫描（针对master节点）
kube-bench --benchmark cis-1.25

根据扫描结果修复不安全配置（如未启用TLS、RBAC未配置）。